Stichting Privacy First uit zorgen over de voorgestelde uitzonderingen op de verplichte Data Protection Impact Assessment (DPIA) door de Autoriteit Persoonsgegevens (AP). Volgens de stichting zijn de uitzonderingen te ruim en kunnen zij leiden tot het niet uitvoeren van DPIA's bij verwerkingen die een hoog privacyrisico met zich meebrengen.

Een DPIA is een verplicht instrument onder artikel 35 van de Algemene Verordening Gegevensbescherming (AVG) om vooraf de privacyrisico's van gegevensverwerkingen in kaart te brengen en passende maatregelen te treffen. De AP mag een lijst publiceren met verwerkingen waarvoor geen DPIA nodig is, wat volgens de toezichthouder de regeldruk voor onder meer het mkb en zelfstandige ondernemers vermindert. Voorbeelden zijn het verwerken van klantgegevens voor zakelijke doeleinden en gegevensverwerking in verband met websitebezoeken.

In juni vroeg de AP om feedback op een voorlopige lijst met DPIA-uitzonderingen. Privacy First waarschuwt dat deze lijst te veel openingen bevat voor verwerkingen die een hoog risico kunnen inhouden, zoals monitoring, profilering, gegevensdeling, doorgifte buiten de EU/EER, en het verwerken van biometrische of gezondheidsgegevens. Volgens de stichting moeten dergelijke verwerkingen in principe altijd een DPIA-plicht hebben, conform de AVG.

Hoewel Privacy First begrip toont voor de positie van kleine organisaties, benadrukt zij dat dit niet mag leiden tot minder bescherming tegen risicovolle verwerkingen. Zo mag de verwerking van klantgegevens in zakelijke context niet betekenen dat ondernemingen die wettelijk verplicht zijn tot criminaliteitsbestrijdingsonderzoek, zoals witwasbestrijding, geen DPIA hoeven uit te voeren. De stichting heeft daarnaast meerdere aanbevelingen gedaan om de lijst aan te scherpen.

De AP geeft aan de ontvangen feedback te gebruiken om de lijst te verbeteren. Na afronding zal de definitieve lijst worden gepubliceerd in de Staatscourant en op de website van de toezichthouder, waarna deze officieel van kracht wordt.